Nieuwe certificaatcontrole aan Mozilla Firefox toegevoegd
Een aantal weken geleden heeft Mozilla aan Firefox een nieuwe controle van SSL-certificaten toegevoegd, die daarmee het vorige mechanisme vervangt dat jaren werd gebruikt. De nieuwe "certificate verification library" is van de grond af opgebouwd en heet "mozilla::pkix".
Naast het gebruik van veiligere programmeermethoden bij de ontwikkeling van de library, heeft Mozilla de gelegenheid ook aangegrepen om zich aan de specificatie voor het verifiëren van X.509 certificaten te houden. Zo zijn er maatregelen genomen die moeten voorkomen dat certificaten op bepaalde manieren kunnen worden misbruikt, terwijl dit bij oude certificaatcontroles niet werd tegengehouden.
De nieuwe controle kan er daarnaast voor zorgen dat sommige certificaten, die niet door certificaatautoriteiten (CA) in het Mozilla Root CA-programma zijn uitgegeven, niet meer op dezelfde manier werken. Mozilla zegt dat het nog bezig is om te kijken hoe het voor deze certificaten de juiste balans tussen security en bruikbaarheid kan vinden.
Je zou eens kunnen kijken of staat ingesteld dat bij het afsluiten van Firefox de cookies worden verwijderd.
Na terug te zijn gegaan naar de oude manier werkte het wel gewoon op de nl site en werd ik ook niet doorgestuurd naar de .com site.
Handig om te weten :-)
Merkwaardig advies :
Security maatregelen terugdraaien in de about:config standaard settings !?!
Dat geldt dan voor alle websites die je vanaf dat moment bezoekt, alleen omdat één site niet naar wens functioneerde.
Zou het ook een overweging kunnen zijn die ene site dan met een andere (tweede) browser te bezoeken in plaats van de door mozilla verbeterde standaard certificaat websecurity te gaan verlagen / uit te schakelen?
Handig voor troubles!
Of zie ik dat helemaal verkeerd?
Na terug te zijn gegaan naar de oude manier werkte het wel gewoon op de nl site en werd ik ook niet doorgestuurd naar de .com site.
Handig om te weten :-)
@Serleena
Veel beter is om dit probleem te melden bij https://bugzilla.mozilla.org/, onder de afdeling Security PSM.
Ik wil dat ook wel doen als je me informatie geeft hoe dit probleem te reproduceren is.
Om te reproduceren.... bandolera .nl
en dan ga je dus naar de https .com versie
Tot zover gevonden dat het met CA's en zelf gesigneerde SSL certificaten te maken heeft.
Zojuist gecheckt: ongeacht of de about:config instelling van 'security.use_mozillapkix_verification' op true of op false staat in Firefox 3.1, als ik als URL bandolera.nl intik, word ik naar https://www.bandolera.com/ gestuurd.
De reden dat er een OCSP foutmelding volgt komt door een fout van de beheerders van Bandolera. Er wordt namelijk "OCSP-stapling" informatie meegestuurd die aangemaakt is op 2014-02-18 en geldig is tot 2014-02-25. Daarbij wordt een OCSP-signing certificaat meegestuurd dat geldig is t/m 2014-04-06. Met de instelling 'security.use_mozillapkix_verification=true' voert Firefox vervolgens geen "normale" online OCSP check uit (door te communiceren met http://ocsp.thawte.com/) en toont meteen de OCSP foutmelding die jij kreeg en ik ook zag.
Met 'security.use_mozillapkix_verification=false' is het me niet duidelijk of Firefox de "OCSP stapling" check geheel niet uitvoert en meteen overgaat tot een online OCSP check, of de "OCSP stapling" wel uitvoert en na de fout alsnog besluit een online check uit te voeren. In elk geval zie ik in Wireshark dat met de instelling 'security.use_mozillapkix_verification=false' er wel een online OCSP check wordt uitgevoerd, en niet met de instelling 'security.use_mozillapkix_verification=true'.
Om wat ik schrijf te controleren kun je ook 'security.ssl.enable_ocsp_stapling=false' instellen (met 'security.use_mozillapkix_verification=true'): daarmee krijg ik verbinding (zonder OCSP foutmelding) met https://www.bandolera.com/.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
